[發明專利]一種DDoS攻擊檢測方法及設備

有效

• 申請號: 201611243772.3
• 申請日: 2016-12-29
• 公開（公告）號: CN108259426B
• 公開（公告）日: 2020-04-28
• 發明（設計）人: 周沖;王鐵男
• 申請（專利權）人: 華為技術有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06
• 代理公司: 廣州三環專利商標代理有限公司 44202
• 代理人: 郝傳鑫;熊永強

1.一種分布式拒絕服務DDoS攻擊檢測方法，其特征在于，包括：

獲取每個檢測周期內發送至防護對象設備的數據流，獲取各個數據流的總持續時長；

根據所述各個數據流的總持續時長，確定所述各個數據流為長數據流或短數據流；

根據所述長數據流經過的檢測周期，將所述長數據流的總數據流量分配到所述長數據流經過的各個檢測周期的統計流量中；

將各個檢測周期內出現的短數據流的數據流量與被分配到對應檢測周期內的長數據流的數據流量進行疊加，從而確定各個檢測周期內的統計流量；

若出現統計流量超過預設流量閾值的檢測周期，則確定所述防護對象設備在該檢測周期內受到DDoS攻擊；

其中，根據所述各個數據流的總持續時長，確定所述各個數據流為長數據流或短數據流，包括：通過將所述各個數據流的總持續時長與預設的檢測周期時長進行比較，確定所述各個數據流為長數據流或短數據流；

其中，所述根據所述長數據流經過的檢測周期，將所述長數據流的總數據流量分配到所述長數據流經過的各個檢測周期的統計流量中，包括：按照所述長數據流在經過的各個檢測周期中的持續時長將所述長數據流的總數據流量分配到所述長數據流經過的各個檢測周期的統計流量中。

2.如權利要求1所述的方法，其特征在于，還包括：在當前的緩存數據流量記錄中查找是否存在所述長數據流的數據流量記錄；

若在當前的緩存數據流量記錄中存在所述長數據流的數據流量記錄，則將當前保存周期內的所述長數據流的數據流量與查找到的當前的緩存數據流量記錄中歷史保存周期內的所述長數據流的數據流量進行疊加從而確定所述長數據流的總數據流量。

3.如權利要求2所述的方法，其特征在于，還包括：

判斷所述長數據流是否為活躍流；

若所述長數據流為活躍流，則緩存在當前保存周期內的所述長數據流的數據流量與查找到的當前的緩存數據流量記錄中歷史保存周期內的所述長數據流的數據流量的總數據流量；

若所述長數據流為非活躍流，則清除在當前保存周期內的所述長數據流的數據流量與查找到的當前的緩存數據流量記錄中歷史保存周期內的所述長數據流的數據流量的總數據流量的緩存。

4.如權利要求3所述的方法，其特征在于，所述判斷所述長數據流是否為活躍流，包括：判斷所述長數據流在預設的活躍流老化時刻是否有數據流量持續輸出。

5.一種分布式拒絕服務DDoS攻擊檢測設備，其特征在于，包括：

時長獲取模塊，用于獲取每個檢測周期內發送至防護對象設備的數據流，獲取各個數據流的總持續時長；

數據流劃分模塊，用于根據所述各個數據流的總持續時長確定所述各個數據流為長數據流或短數據流；

流量分配模塊，用于根據所述長數據流經過的檢測周期，將所述長數據流的總數據流量分配到所述長數據流經過的各個檢測周期的統計流量中；

流量統計模塊，用于將各個檢測周期內出現的短數據流的數據流量與被分配到對應檢測周期內的長數據流的數據流量進行疊加從而確定各個檢測周期內的統計流量；

攻擊確定模塊，用于在出現統計流量超過預設流量閾值的檢測周期時，確定所述防護對象設備在該檢測周期內受到DDoS攻擊；

其中，根據所述各個數據流的總持續時長，確定所述各個數據流為長數據流或短數據流，包括：通過將所述各個數據流的總持續時長與預設的檢測周期時長進行比較，確定所述各個數據流為長數據流或短數據流；

其中，所述流量分配模塊具體用于：按照所述長數據流在經過的各個檢測周期中的持續時長將所述長數據流的總數據流量分配到所述長數據流經過的各個檢測周期的統計流量中。

6.如權利要求5所述的DDoS攻擊檢測設備，其特征在于，還包括記錄查找模塊，用于：在當前的緩存數據流量記錄中查找是否存在所述長數據流的數據流量記錄，若在當前的緩存數據流量記錄中存在所述長數據流的數據流量記錄，則將當前保存周期內的所述長數據流的數據流量與查找到的當前的緩存數據流量記錄中歷史保存周期內的所述長數據流的數據流量進行疊加從而確定所述長數據流的總數據流量。